DefenceLevel
Datenschutzerklärung
Welche personenbezogenen Daten wir verarbeiten, warum, mit wem, wie lange und welche Rechte Sie haben. Wir erheben nur das unbedingt Nötige, um den Dienst zu betreiben: keine Werbung, kein Profiling, keine Analyse Ihres Verhaltens.
1. Verantwortlicher
SCARAFILE Consulting S.R.L., Piața Victoriei 4, ap. 9C, 300006 Timișoara, Rumänien · USt-IdNr. RO42858116 · Handelsregister J35/2040/2020.
Für Fragen oder Anliegen zu Ihren Daten: privacy@defencelevel.com.
2. Welche Daten wir verarbeiten
| Daten | Herkunft | Zweck |
|---|---|---|
| E-Mail-Adresse | Sie geben sie ein, um den Test zu starten | Konto anlegen, Ihnen den Anmeldelink, das Briefing, Warnungen und Mitteilungen zum Dienst und zum Abonnement senden |
| Bevorzugte Sprache | Die Sprache der Website bei der Registrierung oder die, die Sie im Dashboard wählen | Ihnen in Ihrer Sprache schreiben |
| Produkte und Hersteller, die Sie in My Defence angeben (Ihre Infrastruktur), die Notizen, die Sie zu den Zonen schreiben, und Ihre Wahl zu Briefing und Warnungen per E-Mail | Sie geben sie, wenn Sie möchten, auf der Seite My Defence im Dashboard ein | Ihnen zeigen, welche Einträge des Briefings Ihre Produkte betreffen, und Ihnen nur die E-Mails senden, die Sie gewählt haben |
| Status des Abonnements | Vom Dienst und von Stripe erzeugt | Wissen, ob Sie sich im Test befinden, ein aktives Abonnement haben oder ob Ihr Abonnement beendet ist; Ende des Tests und Verlängerungsdaten |
| Kunden- und Abonnementkennungen von Stripe | Stripe | Ihr Konto mit den Zahlungen verknüpfen. Kartendaten sehen und speichern wir nicht |
| Rechnungsdaten (Name, Adresse und, wenn Sie für ein Unternehmen kaufen, Firmenname und USt-IdNr.) | Sie geben sie auf der Zahlungsseite von Stripe ein | Rechnungen ausstellen und die richtige Mehrwertsteuer anwenden |
| Protokoll der gesendeten E-Mails | Vom Dienst und von Resend erzeugt | Wissen, welche E-Mails Ihnen gesendet und ob sie zugestellt wurden, um Doppelungen zu vermeiden und nicht zugestellte erneut zu senden; bei Briefing und Warnungen auch Ihre Wahl in My Defence zu diesem Zeitpunkt, um zu prüfen, dass die E-Mails so versendet werden, wie Sie es gewählt haben |
| Datum und Uhrzeit Ihrer letzten Aktivität auf der Website mit Ihrem Konto, mit dem Land (aus der IP-Adresse abgeleitet, die nicht gespeichert wird) und der Art des Geräts (Computer, Telefon oder Tablet) | Vom Dienst erfasst, wenn Sie die Website angemeldet nutzen (Dashboard, Seiten, Exporte), höchstens alle 10 Minuten; nur die letzten bleiben gespeichert | Wissen, ob der Dienst neben den E-Mails auch auf der Website genutzt wird, um ihn zu verbessern |
| Anmeldungen bei Ihrem Konto: Datum und Uhrzeit, Browser, Betriebssystem, Art des Geräts (Computer, Telefon oder Tablet) und Land (aus der IP-Adresse abgeleitet, die nicht gespeichert wird) | Vom Dienst bei jeder Anmeldung mit einem Anmelde- oder Bestätigungslink erfasst | Ihnen auf der Seite Konto die letzten Anmeldungen zeigen, damit Sie eine fremde Anmeldung erkennen und die anderen Geräte abmelden können |
| Zweite Adresse für die Warnungen: die E-Mail-Adresse einer Person, die Sie angeben (zum Beispiel ein Kollege oder das Postfach Ihres Teams), mit dem Stand ihrer Bestätigung | Sie geben sie, wenn Sie möchten, auf der Seite Konto ein; die angegebene Person bestätigt mit dem Link, den wir ihr senden | Ihr eine Kopie der Warnungen der Stufen DEFCON 1 und 2 senden, die Sie erhalten, erst nach ihrer Bestätigung |
| Fingerabdruck der E-Mail-Adresse (ein aus der Adresse berechneter Code, aus dem sich die Adresse nicht rekonstruieren lässt) | Vom Dienst erzeugt, wenn Sie Ihr Konto nach Nutzung des kostenlosen Tests löschen | Keinen zweiten kostenlosen Test für dieselbe Adresse gewähren |
| Technische Verbindungsdaten (IP-Adresse, Browsertyp, Uhrzeit) | Automatisch von den Servern erfasst, die die Website hosten | Sicherheit und technischer Betrieb der Website |
| Nachrichten, die Sie uns schreiben | Sie, per E-Mail | Ihnen antworten |
| Besuchsstatistik: aufgerufene Seite, Datum und Uhrzeit, Land (aus der IP-Adresse abgeleitet, die nicht gespeichert wird), verweisende Website oder Kampagne, Sprache und Gerätetyp, mit einem anonymen Code, der sich jeden Tag ändert | Von der Website erzeugt, wenn Sie eine Seite einige Sekunden lang ansehen oder sie benutzen, ohne Cookies | Wissen, wie viele Menschen die Website besuchen und woher sie kommen, um sie zu verbessern und zu verstehen, welche Kanäle funktionieren |
| Herkunft der Anmeldung (zum Beispiel LinkedIn oder eine Suchmaschine, die Kampagne, das Land und die Seite, auf der Sie sich angemeldet haben) | Vom Dienst bei der Anmeldung erzeugt, aus dem Besuch, bei dem Sie sich anmelden | Verstehen, welche Kanäle Abonnenten bringen |
| Anmeldeversuche: Datum und Uhrzeit, Ergebnis, Land (aus der IP-Adresse abgeleitet, die nicht gespeichert wird), Domain der E-Mail-Adresse (der Teil nach dem @, nie die Adresse) und Ergebnis der Bot-Prüfung | Vom Dienst bei jedem Absenden des Formulars für den kostenlosen Test erzeugt, oder des Formulars für den Anmeldelink mit einer nicht registrierten Adresse | Den Dienst vor automatisierten Anmeldungen und vor E-Mails an Adressen anderer Personen schützen |
| Bot-Prüfung (Vercel BotID): ein automatischer Test, den Ihr Browser aus seinen technischen Merkmalen berechnet, wenn Sie das Formular für den kostenlosen Test oder für den Anmeldelink absenden, ohne Cookies und ohne etwas im Browser zu speichern | Ihr Browser, auf den Seiten mit diesen Formularen; die Prüfung übernimmt Vercel, der Anbieter, der die Website hostet | Anfragen automatisierter Programme erkennen; vorerst wird nur das Ergebnis gespeichert, nichts wird blockiert |
Kartendaten (Nummer, Ablaufdatum, Sicherheitscode) geben Sie direkt auf den Seiten von Stripe ein; sie werden nur von Stripe verarbeitet: Wir sehen sie nicht. Von Stripe erhalten wir das Ergebnis der Zahlungen und die oben genannten Rechnungsdaten.
Wir verarbeiten keine besonderen Kategorien von Daten (Gesundheit, Meinungen, Herkunft usw.). Die einzigen Daten zu Ihren Systemen sind die Angaben, die Sie in My Defence machen (Hersteller, Produkte und Notizen zu den Zonen): Das ist freiwillig, und ohne sie funktioniert der Dienst genauso, mit allen E-Mails.
3. Zwecke und Rechtsgrundlagen
| Zweck | Rechtsgrundlage |
|---|---|
| Erbringung des Dienstes: Konto, Anmeldung, Briefing, Warnungen, Dashboard | Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) |
| Verwaltung von Test, Abonnement, Zahlungen und zugehörigen Mitteilungen | Vertragserfüllung (Art. 6 Abs. 1 lit. b) |
| Dashboard und E-Mails auf die Produkte zuschneiden, die Sie in My Defence angeben | Vertragserfüllung (Art. 6 Abs. 1 lit. b), auf Ihren Wunsch |
| Namen erkennen, die Sie in My Defence hinzufügen und die unser Katalog nicht kennt: Wir suchen sie, ohne Daten über Sie, in den öffentlichen Schwachstellenberichten und in der National Vulnerability Database (NVD) des NIST; wenn es sie gibt, kommen sie mit ihrem offiziellen Namen in den Katalog | Vertragserfüllung (Art. 6 Abs. 1 lit. b), auf Ihren Wunsch |
| Ausstellung von Rechnungen und Aufbewahrung von Buchhaltungs- und Steuerunterlagen | Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c) |
| Schutz der Website und des Dienstes vor Missbrauch und Angriffen; Prüfung der Zustellung von E-Mails | Berechtigtes Interesse an einem sicheren und funktionierenden Dienst (Art. 6 Abs. 1 lit. f) |
| Verhindern, dass der kostenlose Test mit derselben Adresse mehrfach genutzt wird | Berechtigtes Interesse, den Test nur einmal pro Person anzubieten (Art. 6 Abs. 1 lit. f) |
| Beantwortung Ihrer Nachrichten und Anfragen zu Ihren Rechten | Vertragserfüllung oder vorvertragliche Maßnahmen; rechtliche Verpflichtung bei DSGVO-Anfragen |
| Besuche der Website und Herkunft der Anmeldungen messen, anonym oder mit möglichst wenigen Daten | Berechtigtes Interesse, die eigene Website zu kennen und zu verbessern (Art. 6 Abs. 1 lit. f) |
| Verstehen, ob der Dienst neben den E-Mails auch auf der Website genutzt wird (Datum und Uhrzeit der letzten Aktivität) | Berechtigtes Interesse, den Dienst zu verbessern (Art. 6 Abs. 1 lit. f) |
| Ihnen die letzten Anmeldungen bei Ihrem Konto zeigen und Ihnen ermöglichen, die anderen Geräte abzumelden | Berechtigtes Interesse an der Sicherheit Ihres Kontos und des Dienstes (Art. 6 Abs. 1 lit. f) |
| Die Kopien der Warnungen an die zweite Adresse senden, die Sie angeben | Erfüllung des Vertrags mit Ihnen (Art. 6 Abs. 1 lit. b) und Einwilligung der angegebenen Person, erteilt mit dem Bestätigungslink (Art. 6 Abs. 1 lit. a), die sie jederzeit über den Link am Ende jeder Kopie widerrufen kann |
Die Angabe Ihrer E-Mail-Adresse ist für den Abschluss und die Erfüllung des Vertrags erforderlich: Ohne sie können wir den Dienst nicht erbringen. Die Rechnungsdaten sind für die Ausstellung von Rechnungen erforderlich, wie es das Steuerrecht vorschreibt.
Wir nutzen Ihre Daten nicht für Werbung, verkaufen sie nicht und geben sie nicht an Dritte für deren eigene Zwecke weiter. Wir treffen keine automatisierten Entscheidungen über Sie: Die DEFCON-Stufe wird aus öffentlichen Schwachstellen berechnet, nicht aus Personen.
4. Wem wir Daten anvertrauen
Wir setzen Anbieter ein, die Daten in unserem Auftrag als Auftragsverarbeiter verarbeiten, auf Grundlage von Verträgen nach Art. 28 DSGVO:
| Anbieter | Aufgabe | Ort |
|---|---|---|
| Vercel Inc. | Hostet die Website und die Funktionen des Dienstes | Vereinigte Staaten; Funktionen des Dienstes in der Europäischen Union (Irland), Seiten über das globale Netz |
| Supabase Pte. Ltd. (Singapur) | Datenbank des Dienstes | Europäische Union (Irland) |
| Resend (Plus Five Five, Inc.) | Versand der E-Mails des Dienstes | Vereinigte Staaten; Versand über Infrastruktur in der Europäischen Union (Irland) |
| OVHcloud (OVH Hosting Limited, Irland) | Postfach, das an @defencelevel.com-Adressen gesendete Nachrichten empfängt | Europäische Union (Frankreich) |
Stripe (Stripe Payments Europe, Limited, Irland) wickelt Zahlungen als eigenständiger Verantwortlicher für die Zahlungsdaten ab, gemäß seiner eigenen Datenschutzerklärung.
Der Dienst nutzt außerdem Werkzeuge, die keine personenbezogenen Daten erhalten: die Betriebsüberwachung (Healthchecks.io), die National Vulnerability Database des NIST, an die wir nur Produktnamen senden, und die API von Anthropic, mit der künstliche Intelligenz die Texte des Dienstes schreibt und prüft, ausschließlich auf Grundlage öffentlicher Schwachstellendaten: Sie erhält nie Daten der Abonnenten und keine Daten aus My Defence.
Bei Anbietern mit Sitz in den Vereinigten Staaten erfolgt die Übermittlung auf Grundlage des EU-US Data Privacy Framework, sofern der Anbieter daran teilnimmt, oder der von der Europäischen Kommission genehmigten Standardvertragsklauseln. Supabase hat seinen Sitz in Singapur, für das kein Angemessenheitsbeschluss besteht: Die Übermittlung erfolgt auf Grundlage der Standardvertragsklauseln seiner Auftragsverarbeitungsvereinbarung, und die Datenbank bleibt in der Europäischen Union (Irland).
5. Wie lange wir Daten aufbewahren
| Daten | Dauer |
|---|---|
| Nie bestätigte Anmeldung (E-Mail-Adresse, an die wir den Bestätigungslink gesendet haben, ohne dass er benutzt wurde) | Nach 3 Tagen automatisch gelöscht, zusammen mit den gesendeten E-Mails; es bleibt nur die Zählung des Versuchs, ohne die Adresse |
| Konto ohne aktives Abonnement (Test abgelaufen, Abonnement beendet, kostenloser Zugang vorbei) | Gespeichert, bis Sie es im Dashboard löschen oder uns um die Löschung bitten: Wir löschen es nie automatisch, damit Sie den Dienst jederzeit wieder aufnehmen können |
| Konto, das Sie im Dashboard löschen | Sofort gelöscht, zusammen mit den zugehörigen Daten |
| Protokoll der gesendeten E-Mails | Zusammen mit dem Konto gelöscht |
| Produkte, Notizen und Einstellungen von My Defence | Bis Sie sie auf der Seite My Defence entfernen; sofort gelöscht, wenn Sie Ihr Konto löschen. In den Sicherungskopien der Datenbank bleiben sie verschlüsselt, bis diese ablaufen (höchstens 7 Tage) |
| Datum, Uhrzeit, Land und Gerät der letzten Aktivität | Bei jeder neuen Aktivität ersetzt; zusammen mit dem Konto gelöscht |
| Anmeldungen beim Konto | 90 Tage; sofort gelöscht, wenn Sie Ihr Konto löschen |
| Zweite Adresse für die Warnungen | Bis Sie sie auf der Seite Konto entfernen oder Ihr Konto löschen; erhält die Person die Kopien nicht mehr, bleibt sie nur gespeichert, um es Ihnen anzuzeigen, bis Sie sie entfernen |
| Fingerabdruck der E-Mail-Adresse von Personen, die ihr Konto nach Nutzung des Tests löschen | Nach 24 Monaten automatisch gelöscht |
| Buchhaltungs- und Steuerunterlagen | Für die nach rumänischem Recht vorgeschriebene Dauer |
| Technische Verbindungsdaten | Für die vom Hosting-Anbieter vorgesehene begrenzte Dauer, nur zu Sicherheits- und Betriebszwecken |
| E-Mail-Nachrichten | So lange, wie zur Bearbeitung der Anfrage und ihrer Folgen nötig |
| Detaillierte Besuchsstatistik | 90 Tage; danach bleiben nur anonyme Tagessummen (nach Seite, Herkunft, Land und Gerät) |
| Anonymer Besuchercode | Der geheime Wert, aus dem er entsteht, ändert sich jeden Tag, und der des Vortags wird gelöscht: Der Code lässt sich weder Ihnen noch über verschiedene Tage hinweg zuordnen |
| Herkunft der Anmeldung | Zusammen mit dem Konto |
| Anmeldeversuche | 12 Monate |
6. Cookies und Browserspeicher
Die Website verwendet drei technische Cookies: is_session, das Sie im Dashboard angemeldet hält, nachdem Sie den per E-Mail erhaltenen Link genutzt haben (gilt höchstens 30 Tage, wird beim Abmelden gelöscht und gilt auf allen anderen Geräten nicht mehr, wenn Sie diese auf der Seite Konto abmelden); dl-auth, das keine Daten enthält und nur anzeigt, dass Sie angemeldet sind, damit die öffentlichen Seiten den Link zum Dashboard zeigen (gilt höchstens 30 Tage und wird beim Abmelden gelöscht); und dl-lang, das die im Sprachwähler gewählte Sprache speichert, damit sich die Startseite in dieser Sprache öffnet (gilt 12 Monate). Die Sprachwahl wird auch im lokalen Speicher des Browsers abgelegt, zusammen mit der Wahl des hellen oder dunklen Designs und, wenn Sie sie schließen, der Einladung, My Defence einzurichten. Haben Sie keine Sprache gewählt, verwendet die Startseite die in Ihrem Browser eingestellte.
Wenn Sie mit der Schaltfläche oben das helle oder dunkle Design wählen, wird Ihre Wahl nur in Ihrem Browser gespeichert (lokaler Speicher, Eintrag dl-theme): Sie wird nicht an uns übermittelt und lässt sich jederzeit in den Browsereinstellungen löschen.
Wir verwenden keine Profiling-, Werbe- oder Statistik-Cookies und keine Tools von Dritten, die Sie verfolgen. Die oben beschriebene Besuchsstatistik verwendet keine Cookies und speichert nichts in Ihrem Browser: Deshalb zeigt die Website kein Cookie-Banner (technisch notwendige Cookies erfordern keine Einwilligung). Wenn Ihr Browser das Signal Global Privacy Control oder Do Not Track sendet, wird Ihr Besuch nicht erfasst.
7. Ihre Rechte
Sie können jederzeit verlangen:
- Auskunft über Ihre Daten und eine Kopie davon;
- ihre Berichtigung, wenn sie unrichtig sind;
- ihre Löschung (das Konto und die zugehörigen Daten, außer jenen, die wir gesetzlich aufbewahren müssen);
- die Einschränkung der Verarbeitung oder den Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen;
- ihre Herausgabe in einem strukturierten, maschinenlesbaren Format (Datenübertragbarkeit).
Sie können auch jederzeit selbst eine Kopie Ihrer Daten herunterladen (in einer JSON-Datei) und Ihr Konto löschen, auf der Seite Konto im Dashboard, mit den Schaltflächen „Kopie herunterladen“ und „Konto löschen“.
Schreiben Sie an privacy@defencelevel.com von der E-Mail-Adresse Ihres Kontos: Wir antworten innerhalb eines Monats. Sie können in My Defence wählen, welche E-Mails Sie erhalten, alle auf der Seite Konto oder über den Link am Ende jeder E-Mail pausieren oder das Abonnement im Dashboard kündigen.
Sie haben außerdem das Recht, Beschwerde bei einer Aufsichtsbehörde einzulegen: in Rumänien bei der Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP, www.dataprotection.ro) oder bei der Behörde des Landes, in dem Sie wohnen oder arbeiten (in Deutschland bei der Datenschutzaufsichtsbehörde Ihres Bundeslandes).
8. Sicherheit
Die Anmeldung beim Dienst erfolgt ohne Passwort, über signierte, einmal verwendbare und kurz gültige Links. Auf der Seite Konto sehen Sie die letzten Anmeldungen bei Ihrem Konto und können mit einem Klick alle anderen Geräte abmelden. Die Datenbank befindet sich in einem Rechenzentrum in der Europäischen Union, mit beschränktem Zugriff und verschlüsselten Verbindungen. Wenn Sie ein Sicherheitsproblem in unseren Systemen finden, folgen Sie der Seite Sicherheitsmeldungen.
Die Liste der Produkte, die Sie in My Defence angeben, beschreibt Ihre Infrastruktur, und wir behandeln sie vertraulich: Wir nutzen sie nur, um Ihnen zu zeigen und zu senden, was Sie betrifft, geben sie an niemanden weiter und verwenden sie für keinen anderen Zweck. Einen Namen, den unser Katalog nicht kennt, suchen wir für sich allein, ohne Daten über Sie oder Ihr Unternehmen: Gibt es ihn, kommt er mit seinem offiziellen Namen in den Katalog, für alle gleich; gibt es ihn nicht, sehen andere Abonnenten ihn nicht.
In der Datenbank sind Hersteller, Produkte und Notizen aus My Defence verschlüsselt (AES-256-GCM), mit einem Schlüssel, den die Datenbank nicht enthält: Wer nur auf die Datenbank, eine ihrer Sicherungskopien oder einen Export zugreift, sieht nur verschlüsselten Text. Der Dienst entschlüsselt sie nur im Arbeitsspeicher, um sie Ihnen anzuzeigen und Briefing und Warnungen auszuwählen. Im Verwaltungsbereich des Dienstes erscheinen Ihre Produkte und Notizen nicht, nur wie viele Produkte und Zonen ein Konto hat; die Prüfungen mit künstlicher Intelligenz, die Briefing und Warnungen kontrollieren, können nur öffentliche Schwachstellendaten lesen. Die Einzelheiten stehen auf der Seite So schützen wir die Daten von My Defence.
9. Minderjährige
Der Dienst richtet sich nicht an Personen unter 18 Jahren, und wir erheben wissentlich keine Daten über sie.
10. Änderungen dieser Erklärung
Wenn wir die Art der Datenverarbeitung ändern, aktualisieren wir diese Seite und das Datum oben; bei wesentlichen Änderungen informieren wir die betroffenen Nutzer vor dem Inkrafttreten per E-Mail.